Cybersecurity Italia ha visionato la nuova bozza del decreto legislativo che sarà sul tavolo del Consiglio dei ministri di oggi pomeriggio per essere approvato in via definitiva. Ecco le modifiche.

Il Governo prova a chiudere il nodo sull’utilizzo dell’intelligenza artificiale nelle attività di Polizia. Dopo i rilievi del Garante Privacy, il confronto nelle Commissioni parlamentari e il richiamo della Commissione europea sui divieti previsti dall’AI Act, la nuova bozza introduce limiti e garanzie più precisi per l’identificazione biometrica nei luoghi pubblici.

Cybersecurity Italia ha visionato il testo che dovrebbe essere esaminato oggi pomeriggio dal Consiglio dei ministri. La modifica più rilevante riguarda l’articolo 8 e la banca dati utilizzata dalle Forze di Polizia per il confronto biometrico in tempo reale.

Una banca dati biometrica per ogni operazione

La nuova formulazione dell’articolo 8, comma 3, stabilisce che la banca dati di riferimento debba essere creata appositamente per ciascun utilizzo autorizzato del sistema di riconoscimento facciale. Il dataset potrà contenere soltanto i dati biometrici pertinenti alle persone interessate dalla specifica ricerca. Le informazioni dovranno essere cancellate alla scadenza dell’autorizzazione e non potranno essere conservate per alimentare progressivamente una banca dati utilizzabile in operazioni successive. Il testo vieta inoltre l’impiego di archivi biometrici costruiti, anche solo in parte, attraverso lo scraping non mirato di immagini facciali provenienti da Internet o da telecamere a circuito chiuso.

La modifica punta a evitare la creazione di una banca dati biometrica permanente e incrementale, limitando ogni confronto alle persone, alla finalità e al periodo indicati nell’autorizzazione.

Dati sintetici nella ricerca

Novità anche nell’articolo 4, che disciplina le collaborazioni delle Forze di Polizia con università, enti di ricerca e soggetti pubblici o privati per lo sviluppo e la sperimentazione di sistemi di AI. La nuova bozza consente di utilizzare dati sintetici oppure dati reali sottoposti a tecniche di mascheramento o pseudonimizzazione. Una soluzione che permette di sviluppare e addestrare i sistemi riducendo l’esposizione diretta dei dati operativi sensibili.

Gli accordi di collaborazione dovranno inoltre definire espressamente i ruoli dei soggetti coinvolti nel trattamento dei dati, indicando chi opera come titolare, contitolare o responsabile. Dovranno essere disciplinati anche obblighi, responsabilità, misure di sicurezza e documentazione delle operazioni. Resta in ogni caso alle Forze di Polizia la titolarità dei modelli addestrati utilizzando dati operativi sensibili.

Più spazio al Garante nella sperimentazione

Il ruolo del Garante Privacy viene rafforzato anche negli spazi di sperimentazione normativa previsti dall’articolo 5. Quando i test comporteranno il trattamento di dati personali, il coinvolgimento del Garante sarà espressamente previsto. Anche il Dpcm destinato a regolare il coordinamento tra gli spazi di sperimentazione e le attività delle Forze di Polizia dovrà essere adottato dopo aver sentito l’Autorità.

Nella prima formulazione, il provvedimento era previsto su proposta delle Autorità nazionali per l’intelligenza artificiale e di concerto con il ministro dell’Interno, senza un esplicito passaggio presso il Garante.

Doppia valutazione d’impatto

L’articolo 9 introduce un ulteriore livello di controllo prima dell’attivazione dei sistemi di identificazione biometrica remota in tempo reale. Oltre alla valutazione d’impatto sui diritti fondamentali prevista dall’AI Act, il titolare del trattamento dovrà effettuare anche la valutazione d’impatto sulla protezione dei dati, la cosiddetta DPIA, prevista dal decreto legislativo n. 51 del 2018.

La valutazione dovrà quindi considerare sia gli effetti generali del sistema sui diritti e sulle libertà delle persone sia i rischi specificamente legati al trattamento dei dati personali e biometrici.

La notifica al Garante

La nuova bozza interviene anche sulle comunicazioni successive all’impiego del riconoscimento facciale.

La notifica al Garante dovrà essere effettuata previo nulla osta dell’autorità giudiziaria, che potrà differirla in presenza di specifiche esigenze di segretezza. Nel caso di più attivazioni avvenute nello stesso contesto operativo, o di utilizzi omogenei, sarà possibile procedere con notifiche periodiche e cumulative. Le modalità saranno definite da un successivo decreto del ministro dell’Interno, di concerto con il ministro della Giustizia e sentiti il Garante e le Autorità nazionali per l’AI.

Il riconoscimento a posteriori e la modifica all’articolo 10

La bozza modifica anche l’articolo 10, dedicato alla videosorveglianza con riconoscimento facciale a posteriori. Nei luoghi e negli eventi con particolari esigenze di ordine e sicurezza pubblica potranno essere conservate localmente le immagini dei volti, ma senza effettuare immediatamente l’elaborazione dei dati biometrici.

Il riconoscimento facciale potrà essere attivato soltanto dopo la commissione di un reato, per confrontare le immagini conservate con quelle di una persona indiziata. I dati saranno cancellati automaticamente dopo sette giorni.

Resta vietato qualsiasi utilizzo non mirato o privo di collegamento con un reato o con un procedimento penale. Nessuna decisione con effetti negativi su una persona potrà inoltre essere fondata esclusivamente sul risultato prodotto dal sistema AI.

La nuova formulazione mantigene l’impiego del riconoscimento biometrico per le attività di Polizia ma introduce autorizzazioni, limiti temporali, banche dati circoscritte e controlli più stringenti. Il testo definitivo è atteso oggi pomeriggio in Consiglio dei ministri.

Vai al sito di Cybersecurity Italia.

L'articolo Riconoscimento facciale con AI per la Polizia, le modifiche al testo in attesa del CdM sembra essere il primo su CyberSecurity Italia.